PHP-Sicherheitslücke PHP2Shell: Ist die Website Ihrer Praxis jetzt in Gefahr?

In den letzten zwei Tagen haben mich zwei Praxen fast wortgleich gefragt: „Ist PHP noch sicher? Muss ich mir Sorgen um unsere Website machen?“ Anlass waren Schlagzeilen über eine Sicherheitslücke, die „das halbe Internet“ bedrohe, und Behörden, die ihre Websites vom Netz genommen haben. Diese Frage verdient eine ruhige, ehrliche Antwort. Hier ist sie.

Das Wichtigste in 30 Sekunden:

• Am 21. Oktober 2026 hat das PHP-Projekt zwei schwere Sicherheitslücken geschlossen. PHP ist die Technik, auf der zum Beispiel WordPress läuft.
• Die Lücke ist ernst, aber das Update ist da. Bis zum Morgen des 22. Oktober war kein erfolgreicher Einbruch öffentlich bestätigt, wohl aber sehr viele automatisierte Angriffsversuche.
• Ob Ihre Website geschützt ist, entscheidet die PHP-Version auf dem Server Ihres Hosters, nicht ein WordPress-Update.
• Gefährdet sind vor allem Websites auf PHP 8.1 oder älter und Websites, um die sich niemand kümmert.
• Ihr bisheriger Anbieter kann Ihnen nicht weiterhelfen? Lesen Sie den Abschnitt Notfall weiter unten, oder melden Sie sich direkt bei uns.

Was ist passiert? Die Kurzfassung ohne Fachchinesisch

PHP ist eine Programmiersprache, mit der ein großer Teil der Websites weltweit arbeitet. Auch viele Praxiswebsites laufen damit, meist über WordPress. Man kann sich PHP wie den Motor vorstellen, der im Hintergrund jede Seite zusammenbaut, sobald ein Patient sie aufruft.

In diesem Motor wurden zwei Fehler gefunden, die unter bestimmten Bedingungen erlauben, fremden Code auf dem Server auszuführen. Fachleute nennen das Remote Code Execution. Einfach gesagt: Ein Angreifer könnte im schlimmsten Fall die Kontrolle über die Website übernehmen, ohne ein Passwort zu kennen.

Solche Lücken werden normalerweise still behoben. Die Entdecker melden sie, die Entwickler bauen eine Korrektur, und erst wenn das Update bereitsteht, wird die Öffentlichkeit informiert. Genau dieser Ablauf ist diesmal schiefgegangen:

• Am 20. Oktober sickerten die Kennnummern der Lücken vorzeitig über ein anonymes Internetforum durch, verbunden mit übertriebenen Angaben.
• Am selben Abend veröffentlichte eine der Sicherheitsfirmen, die die Lücke gefunden hatte, versehentlich ein Video, das den Angriff vorführte. Es wurde gelöscht, Kopien kursierten aber weiter.
• Am 21. Oktober um 16 Uhr deutscher Zeit erschien das offizielle Update, einen Tag früher als geplant (PHP Foundation), (php.net).

Wichtig für die Einordnung: PHP selbst wurde nicht gehackt, und es sind keine Daten abgeflossen. Durchgesickert ist die Information, dass es die Lücke gibt.

Warum die Schlagzeilen lauter waren als die Lage

Wenn Sie in den letzten Tagen Nachrichten gelesen haben, waren Sie vermutlich beunruhigt. Das ist verständlich, denn viele Meldungen haben sich widersprochen oder übertrieben. Drei Beispiele:

1. Die Schwere wurde zu hoch angegeben. Im durchgesickerten Beitrag stand die höchstmögliche Gefahrenstufe 10 von 10. Viele Medien haben das übernommen. Die offizielle Bewertung liegt bei 9,2. Das ist immer noch kritisch, aber die Entwickler haben die 10 ausdrücklich als falsch bezeichnet, weil ein Angriff an bestimmte Voraussetzungen geknüpft ist.

2. Die betroffenen Versionen wurden falsch genannt. Einige Berichte sprachen von „PHP 5, 6, 7 und 8“. Eine Version PHP 6 ist nie erschienen. Ein Mitglied des PHP-Sicherheitsteams hat die gröbsten Fehler inzwischen öffentlich richtiggestellt (Alexandre Daubois).

3. Abschaltungen wurden mit Angriffen verwechselt. In den Niederlanden, Finnland, Frankreich und auch in Deutschland haben Behörden einzelne Websites vorsorglich vom Netz genommen, in den Niederlanden zeitweise auch Bürgerportale. Das las sich wie ein Großangriff. Tatsächlich war es Vorsicht: Die Abschaltungen gingen nach übereinstimmenden Berichten nicht auf Einbrüche zurück, sondern auf die Entscheidung, bis zum Update lieber nichts zu riskieren.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung herausgegeben und rät, unverzüglich zu aktualisieren (BSI). Das ist die sachliche Kernbotschaft hinter allen Schlagzeilen.

Ist Ihre Praxiswebsite betroffen?

Hier wird es konkret, und hier liegt auch die gute Nachricht. Die Lücke steckt im PHP-Motor selbst, nicht in WordPress, nicht in Ihrem Theme und nicht in Ihren Plugins. Deshalb gilt:

• Ein WordPress-Update schließt diese Lücke nicht. Entscheidend ist, welche PHP-Version Ihr Hoster auf dem Server einsetzt, also etwa IONOS, Strato oder Ihr IT-Dienstleister.
• Geschützt sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder höher. Diese Versionen enthalten die Korrektur.
• PHP 8.1 und älter ist betroffen, und dafür gibt es kein offizielles Update. Diese Versionen werden vom PHP-Projekt nicht mehr gepflegt. Es gibt zwar Korrekturen im Quellcode, aber ob Ihr Hoster sie einbaut, müssen Sie dort erfragen.

Eine Besonderheit, damit Sie sich nicht unnötig sorgen: Manche Hoster und Serverbetriebssysteme bauen Sicherheitskorrekturen in ältere Versionen ein, ohne dass sich die Versionsnummer ändert. Eine „alte“ Nummer bedeutet also nicht automatisch, dass Ihr Server ungeschützt ist. Sie bedeutet aber, dass Sie nachfragen sollten.

Nicht betroffen sind Websites, auf deren Server gar kein PHP läuft. Dazu gehören zum Beispiel statische Websites, wie wir sie seit diesem Herbst auch für unsere eigene Website einsetzen. Dazu weiter unten mehr.

So prüfen Sie Ihre PHP-Version in zwei Minuten

Wenn Ihre Website mit WordPress läuft und Sie einen Zugang zum Verwaltungsbereich haben:

Steht dort 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder eine höhere Nummer im selben Zweig, ist diese Lücke geschlossen. Steht dort 8.1 oder älter, oder eine niedrigere Nummer, sprechen Sie heute noch mit Ihrem Hoster oder Ihrem Website-Betreuer.

Sie haben keinen Zugang oder wissen nicht, wer Ihre Seite betreut? Dann ist genau das der erste Befund, und kein seltener. Schicken Sie uns Ihre Webadresse, wir helfen bei der Einordnung.

Woran Sie erkennen, ob Ihre Website schon kompromittiert ist

Kompromittiert heißt: Jemand Fremdes hat sich Zugang verschafft und etwas verändert. Das ist bei dieser Lücke bisher nicht öffentlich bestätigt worden. Weil es aber seit dem 17. Oktober nachweislich erste Angriffsversuche gab (AWS Security Blog), lohnt ein prüfender Blick. Vor allem, wenn Ihre Seite noch auf einer alten Version läuft.

Was Sie selbst prüfen können, in etwa 10 Minuten

• Benutzerliste in WordPress: Unter Benutzer nach der Rolle Administrator filtern. Gibt es dort Namen, die Sie nicht kennen?
• Ihre Seite von außen ansehen: Am Computer und auf dem Handy, einmal direkt und einmal über die Google-Suche. Werden Sie auf fremde Seiten umgeleitet? Erscheinen Werbung, fremde Sprachen oder Inhalte, die nicht von Ihnen stammen?
• Google fragen: Geben Sie bei Google site:ihre-praxis.de ein, mit Ihrer eigenen Adresse. Tauchen Seiten auf, die Sie nie angelegt haben, etwa mit Arzneimittel- oder Glücksspielwerbung?
• Google Search Console: Falls eingerichtet, unter Sicherheit und manuelle Maßnahmen die Sicherheitsprobleme ansehen.
• Post vom Hoster: Hat Ihr Hoster Warnungen geschickt, oder war die Seite in den letzten Tagen auffällig langsam oder zeitweise nicht erreichbar?
• Formulare und E-Mails: Kommen ungewöhnliche Anfragen herein, oder melden Bekannte Spam, der scheinbar von Ihrer Adresse kommt?

Wenn nichts davon auffällt, ist das ein gutes Zeichen. Eine Garantie ist es nicht, denn geschickte Angreifer verstecken sich.

Was Ihr Dienstleister prüfen sollte

Diese Punkte brauchen einen technischen Zugang zum Server. Sie können die Liste so an Ihren Betreuer weitergeben:

• Geänderte und neue Dateien seit dem 17. Oktober, besonders PHP-Dateien im Upload-Ordner (wp-content/uploads). Dort gehören nur Bilder und Dokumente hin.
• Abgleich der WordPress-Kerndateien und Plugins mit den Originalen über Prüfsummen.
• Server-Protokolle ab dem 17. Oktober: ungewöhnlich große Uploads und gehäufte Speicherfehler. Beides kann auf Angriffsversuche hindeuten, ist aber noch kein Beweis für einen Einbruch.
• Geplante Aufgaben (Cronjobs), die Datei .htaccess und neue Einträge in der Datenbank.
• Ein Durchlauf mit einem seriösen Sicherheits-Scanner.

Wenn sich ein Verdacht bestätigt

Bitte nicht in Eile alles löschen. Besser in dieser Reihenfolge:

1. Zustand sichern: eine Kopie von Dateien und Protokollen, damit sich später klären lässt, was passiert ist.
2. Seite vorübergehend vom Netz nehmen oder eine Wartungsseite schalten.
3. Alle Passwörter ändern: WordPress, Hosting, Datenbank, FTP und E-Mail.
4. Aus einer sauberen Sicherung wiederherstellen und dabei direkt auf eine aktuelle PHP-Version gehen.
5. Datenschutz prüfen: Hat Ihre Website Formulare, über die Patientendaten laufen, binden Sie Ihren Datenschutzbeauftragten ein.

Notfall: Ihr Anbieter kann Ihnen nicht weiterhelfen? Wir helfen Ihnen.

In den letzten Tagen haben wir oft gehört: „Ich habe meinen Webdesigner gefragt, aber keine Antwort bekommen.“ Oder: „Die Agentur, die unsere Seite gebaut hat, gibt es nicht mehr.“ Oder: „Mein Dienstleister sagt, er kümmert sich, aber ich weiß nicht, ob das reicht.“

Das ist kein Vorwurf an irgendwen. Viele Praxisseiten wurden vor Jahren gebaut, und die Betreuung ist irgendwann eingeschlafen. Bei einer Meldung wie dieser fällt das plötzlich auf.

Wenn einer dieser Sätze auf Sie zutrifft, melden Sie sich bei uns:

• Ihr bisheriger Anbieter ist nicht erreichbar oder kann die Frage nach der PHP-Version nicht beantworten.
• Sie wissen nicht, wer Ihre Website betreut oder wo die Zugänge liegen.
• Ihre Seite läuft auf PHP 8.1 oder älter, und niemand stellt sie um.
• Sie haben einen der Warnhinweise von oben bemerkt und wollen nicht abwarten.

Was wir dann tun:

Was wir von Ihnen brauchen: Ihre Webadresse und, wenn bekannt, den Namen Ihres Hosters. Zugangsdaten sind hilfreich, aber kein Muss. Fehlen sie, zeigen wir Ihnen, wie Sie sie über Ihren Hoster zurückbekommen. Die Seite gehört Ihnen, nicht Ihrem früheren Dienstleister.

Sie ziehen ohnehin bald auf einen neuen Server um?

Diese Frage kam in einem der beiden Gespräche: Lohnt sich Wartung am alten Server noch, wenn nächste Woche sowieso der Umzug ansteht?

Meine ehrliche Antwort: Ein großes Wartungspaket für den alten Server lohnt sich nicht. Eine kleine Überbrückung schon. Die meisten automatisierten Angriffe kommen in den ersten Tagen nach dem Bekanntwerden einer Lücke. Eine Woche ist in dieser Lage lang. Sinnvoll sind:

1. Beim Hoster nachfragen, ob die PHP-Version auf dem Server die Korrektur bereits enthält.
2. Wenn möglich, sofort auf PHP 8.2 oder neuer umstellen. Bei vielen Hostern ist das eine Einstellung im Kundenbereich und dauert wenige Minuten. Danach kurz prüfen, ob die Seite noch normal funktioniert.
3. Wenn das nicht geht, eine Schutzschicht vorschalten. Dienste wie Cloudflare haben am 21. Oktober Notfallregeln gegen diese Lücke eingeführt, auch für den kostenlosen Tarif (The Hacker News). Das ist eine Übergangslösung, für eine Woche aber vernünftig.
4. Jetzt eine Sicherung ziehen, solange nichts auffällig ist.

Und für den Umzug selbst zwei Punkte, die oft übersehen werden:

• Der neue Server braucht eine aktuelle, korrigierte PHP-Version. Sonst zieht das Problem einfach mit um.
• Nur Inhalte umziehen, nicht blind alle Dateien. Sollte die alte Seite in der Zwischenzeit doch kompromittiert worden sein, nimmt man eine versteckte Hintertür sonst mit. Sauber ist: WordPress und Plugins auf dem neuen Server frisch installieren und nur Inhalte, Bilder und Datenbank übernehmen, nachdem sie geprüft wurden.

Der Blick nach vorn: Was diese Lücke über die nächsten Jahre verrät

Wenn die Lage jetzt entspannter ist, warum dann nicht einfach abhaken? Weil der Fall etwas zeigt, das bleibt.

Künstliche Intelligenz findet Sicherheitslücken heute schneller als je zuvor. Die Fehler in PHP wurden im August 2026 mit Hilfe von KI-Modellen entdeckt, von mehreren Teams unabhängig voneinander. Ein Unternehmen hat die Lücke nach eigenen Angaben nach einem bloßen Hinweis an einem einzigen Abend mit eigenen KI-Werkzeugen gefunden (Techzine). Das PHP-Projekt hat seit Juli 15 Sicherheitslücken veröffentlicht und über 100 ungültige oder doppelte Meldungen bearbeitet (PHP Foundation).

Für Sie als Praxisinhaber heißt das dreierlei:

• Solche Meldungen werden häufiger. Nicht weil Software schlechter wird, sondern weil sie gründlicher durchleuchtet wird. Auch von Angreifern.
• Die Zeit zwischen Update und Angriff schrumpft. Amazon beobachtet, dass KI-gestützte Analyse es mehr Akteuren erlaubt, binnen Stunden zu handeln (The Hacker News). Wer erst nach zwei Wochen aktualisiert, ist künftig spät dran.
• Die entscheidende Frage ist nicht „welche Technik“, sondern „wer kümmert sich“. Eine gut betreute WordPress-Seite war am 21. Oktober innerhalb von Stunden geschützt. Eine Seite, für die sich niemand zuständig fühlt, ist es bis heute vielleicht nicht.

Und warum Vertrauen online gerade bei Gesundheitsthemen so viel wiegt, beschreibt der Artikel Digitales Patientenmanagement.

Drei Wege, wie Ihre Website sicher bleibt

Vielleicht fühlt sich das Thema Website bei Ihnen schon länger zäh an. Seit Jahren wurde nichts gemacht, niemand weiß genau, wer die Zugänge hat, jede Änderung dauert Wochen. Dann ist diese Meldung kein Grund zur Panik, sondern ein guter Anlass, das in Ordnung zu bringen. Das geht in überschaubaren Schritten, und Sie müssen dafür nicht zum Technikexperten werden.

Es gibt drei sinnvolle Wege. Keiner ist für jede Praxis der richtige.

Weg 1: WordPress behalten und verlässlich betreuen lassen

WordPress ist sicher, wenn es richtig betreut wird. Dazu gehören eine aktuelle PHP-Version, regelmäßige Updates von WordPress und Plugins, tägliche Sicherungen und jemand, der bei einer Meldung wie dieser am selben Tag handelt. Das ist der naheliegende Weg, wenn Ihre Seite gut aussieht, Patienten bringt und Sie mit ihr zufrieden sind.

Weg 2: Auf eine schlanke Website ohne PHP wechseln

Statische Websites liefern fertige Seiten aus, statt sie bei jedem Aufruf neu zusammenzubauen. Auf dem Server läuft kein PHP, keine Datenbank ist von außen erreichbar, und es gibt deutlich weniger, das man angreifen oder aktualisieren muss. Diese Lücke betrifft solche Seiten nicht. Wir haben unsere eigene Website im Herbst 2026 auf diese Bauweise umgestellt und setzen sie auch für Praxen ein.

Der ehrliche Haken: Ein Wechsel ist ein Relaunch, kein Knopfdruck. Er lohnt sich vor allem, wenn Ihre Seite ohnehin in die Jahre gekommen ist. Was eine Praxiswebsite mit Hosting, Sicherheit und Wartung kostet, zeigen wir offen auf der Seite Website und Webdesign. Einen Überblick über Budgets gibt der Ratgeber Was kostet Praxismarketing?, und worauf es bei einer guten Praxisseite allgemein ankommt, lesen Sie unter Website für Ärzte.

Weg 3: Erst einmal wissen, wo Sie stehen

Sie müssen heute nichts entscheiden außer einem: herauszufinden, wie es um Ihre Website steht. Dafür gibt es unseren kostenlosen Sicherheitsblick.

Ihr nächster Schritt mit MedDirection

Für alle, die unsicher sind, schnell Klarheit wollen oder vermuten, dass ihre Seite betroffen ist: Sie nennen uns Ihre Webadresse und, falls bekannt, Ihren Hoster. Wir prüfen, was sich prüfen lässt, und schicken Ihnen eine kurze, verständliche Einschätzung: Ist Ihre Seite von dieser Lücke betroffen? Was ist jetzt dringend, was kann warten? Welche Fragen sollten Sie Ihrem Hoster oder Dienstleister stellen? Dies ist in der Regel in 1-3 h erledigt. Aufgrund der aktuell hohen Nachfrage, können wir Ihnen eine Lösung in 72 h anbieten.

Für alle, die gleich über Optionen sprechen möchten: Im Erstgespräch schauen wir gemeinsam auf Ihre Website und besprechen, welcher der drei Wege zu Ihrer Praxis passt. Ohne Fachchinesisch und ohne Verkaufsdruck.

Sicherheitslücken wird es immer geben. Was Sie in der Hand haben, ist, ob beim nächsten Mal jemand am selben Tag reagiert. Wir kümmern uns gern darum, von Berlin und Dresden aus, für Praxen im ganzen DACH-Raum.